8.1 Gegevensverwerkingen door de curator

In deel I van het onderzoek staat de curator als subject van het gegevensbeschermingsrecht centraal. Een curator is belast met het beheer en de vereffening van de failliete boedel. Hij verkrijgt daarmee een groot aantal rechten: de curator is degene die de boedel nog kan binden en beslist hoe hij het faillissement het best kan afwikkelen. Met deze rechten komen ook plichten: de curator moet zich tijdens de vereffening en liquidatie houden aan alle op hem rustende rechtsplichten en in het bijzonder handelen in het belang van de gezamenlijke schuldeisers.

De verplichtingen en verantwoordelijkheden die uit de AVG voortvloeien, richten zich primair tot diegenen die persoonsgegevens verwerken: verwerkingsverantwoordelijken en verwerkers. In mijn onderzoek staat de verwerkingsverantwoordelijke centraal. Dit is degene die alleen of samen met anderen het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. In hoofdstuk II zet ik uiteen dat de curator tijdens faillissement als verwerkingsverantwoordelijke kwalificeert. Dit betekent dat de curator tijdens faillissement persoonsgegevens kan en mag verwerken, maar ook dat hij zich bij die verwerkingen aan de AVG dient te houden. Deze zienswijze is inmiddels bevestigd door de AP en de wetgever.

Om te bepalen wat de invloed van de AVG op de werkzaamheden van de curator is, moet eerst worden vastgesteld of een curator persoonsgegevens verwerkt en zo ja, welke. De AVG is immers alleen van toepassing op de verwerking van persoonsgegevens. Uit mijn onderzoek blijkt dat de curator veel verschillende persoonsgegevens op veel verschillende manieren verwerkt. Dit begint er al mee dat de curator direct na het uitspreken van het faillissement verplicht is om de tot de boedel behorende bescheiden en andere gegevensdragers onder zich te nemen op basis van artikel 92 Fw. Over het algemeen bevinden zich in de administratie van de failliete onderneming persoonsgegevens. Nagenoeg iedere onderneming houdt een klantenbestand bij met namen en e-mailadressen, heeft een salarisadministratie, registreert bepaalde handelingen van medewerkers of plaatst cookies op apparaten van bezoekers van de eigen website. Op het moment dat de curator de administratie onder zich neemt, verwerkt hij dan ook in vrijwel ieder faillissement persoonsgegevens.

Ook bij specifieke activiteiten van de curator loopt hij tegen verschillende gegevensverwerkingen aan. Zo neemt de curator allerlei verschillende persoonsgegevens op in het faillissementsverslag, bijvoorbeeld van de curator of voormalig curatoren zelf, de rechter-commissaris, (voormalig) bestuurders, aandeelhouders of andere personen zoals oud-werknemers, faillissementsaanvragers, bieders of preferente crediteuren.1 Ook als de curator een onderneming geheel of gedeeltelijk wil overdragen, is het onvermijdelijk dat hij persoonsgegevens verwerkt. Hij wil potentiële kopers inzicht geven in de bescheiden van de onderneming en daarmee ook in bepaalde persoonsgegevens. Hierbij kan worden gedacht aan persoonsgegevens van de werknemers van de failliete onderneming en persoonsgegevens van debiteuren, crediteuren, klanten en bestuurders.2 Ten slotte verwerkt de curator in de praktijk regelmatig persoonsgegevens om de rechten van betrokkenen te faciliteren.3 Dit kan allereerst omdat hij betrokkenen moet informeren over de verwerking van hun persoonsgegevens en de rechten die zij hebben. Als betrokkenen hun rechten vervolgens uitoefenen, verwerkt de curator ook weer persoonsgegevens bij het reageren op dat verzoek.

De curator kan er vaak niet voor kiezen om géén persoonsgegevens te verwerken. Hij heeft een wettelijke verplichting om de administratie veilig te stellen. Daarmee spelen persoonsgegevens vrijwel automatisch een rol in het faillissement en wordt de curator geconfronteerd met de impact van de AVG op de afwikkeling van het faillissement. Zelfs als hij bepaalde persoonsgegevens alleen onder zich krijgt en gedurende het faillissement of na beëindiging van de faillissementsprocedure weer verwijdert, zijn dat verwerkingen van persoonsgegevens.

De curator verwerkt persoonsgegevens van veel verschillende betrokkenen, zoals ik hierboven bij de verschillende door mij besproken casussen al aangaf. Hierbij kan worden gedacht aan bestuurders en werknemers van de onderneming, aan crediteuren en debiteuren, aan directeur-grootaandeelhouders, andere aandeelhouders, familieleden van bestuurders, de rechter-commissaris en, afhankelijk van het type faillissement, ook aan patiënten of klanten.

Van deze verschillende betrokkenen verwerkt een curator niet alleen ‘normale’ persoonsgegevens, maar kan hij onder omstandigheden ook speciale persoonsgegevens verwerken. De AVG bevat een verzwaard regime voor de verwerking van verschillende groepen beschermde persoonsgegevens. De eerste groep bestaat uit bijzondere categorieën van persoonsgegevens, zoals omschreven in artikel 9 AVG. Voor een curator relevante bijzondere categorieën zijn bijvoorbeeld het lidmaatschap van een vakbond, levensbeschouwelijke overtuigingen en medische gegevens. Voor de bijzondere categorieën van persoonsgegevens geldt in beginsel een verwerkingsverbod. Naast de vereisten voor de verwerking van normale persoonsgegevens, moet ook nog worden voldaan aan één van de ontheffingen van dat verbod. Een tweede groep van speciale persoonsgegevens bestaat op grond van artikel 10 AVG uit de persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten. De verwerking van deze persoonsgegevens is in beginsel verboden en mag alleen plaatsvinden onder toezicht van de overheid of op basis van een wettelijke bepaling. Een derde groep van persoonsgegevens die een verzwaard regime hebben, zijn de nationale identificatienummers. In Nederland is dit het Burgerservicenummer (BSN). Artikel 87 AVG bepaalt dat de nationale wetgever aanvullende voorwaarden kan stellen aan de verwerking van een dergelijk identificatienummer. De Nederlandse wetgever heeft in artikel 46 Uitvoeringswet AVG bepaald dat het BSN alleen mag worden verwerkt als dat in de wet of bij algemene maatregel van bestuur is voorgeschreven. Ook de curator in faillissement kan een BSN tegenkomen, bijvoorbeeld als hij de salarisadministratie doorneemt.

Deze strenge vereisten leiden er in de praktijk vaak toe dat de curator speciale persoonsgegevens niet mag verwerken, hoewel uit mijn onderzoek tegelijkertijd volgt dat dit niet altijd werkbaar is voor de praktijk. Ik concludeer bijvoorbeeld dat de curator vrijwel geen speciale persoonsgegevens mag opnemen in het openbare faillissementsverslag, hoewel ik wel verslagen aantrof waar die persoonsgegevens in stonden.4 De enige uitzondering op dit verbod om speciale persoonsgegevens te verwerken, bestaat voor bijzondere categorieën van persoonsgegevens, zoals medische gegevens. Als het hier gaat om kennelijk openbare gegevens, mag de curator die wel verwerken. In het kader van de in de faillissementsprocedure gewenste transparantie is het soms onpraktisch of onwenselijk dat een curator speciale persoonsgegevens niet mag verwerken. Een curator voert bijvoorbeeld een oorzakenonderzoek uit en kan er belang bij hebben om te informeren over frauduleuze handelingen of andere onregelmatigheden voorafgaand aan de faillietverklaring. Deze informatie mag hij, voor zover het persoonsgegevens bevat, echter niet opnemen in het faillissementsverslag.5

Ook ga ik in op de (on)mogelijkheden van de verwerking van speciale gegevens in de biedingsprocedure.6 De curator mag geen speciale persoonsgegevens delen met geïnteresseerde partijen. De enige uitzondering hierop bestaat voor de bijzondere categorieën van persoonsgegevens. Onder omstandigheden kan de curator uitdrukkelijke toestemming vragen om bijvoorbeeld informatie over het lidmaatschap van een vakbond te delen in een biedingsprocedure. Ik concludeer dat dit aan strenge voorwaarden gebonden zal zijn en ook lang niet altijd mogelijk is.7 Er twee conceptwetsvoorstellen gepubliceerd die mogelijk soelaas gaan bieden: de Wet overgang van onderneming in faillissement en de Verzamelwet gegevensbescherming. De conceptwetsvoorstellen bespreek ik uitgebreid.8 De voorstellen zorgen voor een grondslag voor de curator om in een biedingsprocedure bepaalde bijzondere categorieën van persoonsgegevens, strafrechtelijke gegevens en identificerende gegevens te delen met geïnteresseerde partijen.

Al met al is duidelijk dat de curator tijdens faillissement tal van persoonsgegevens tegenkomt. Bij vrijwel iedere werkzaamheid die hij uitvoert, kunnen persoonsgegevens een rol spelen. Ik concludeer dat de curator als verwerkingsverantwoordelijke verantwoordelijk is voor de naleving van de AVG tijdens faillissement. Hij is zelf normadressaat van de bepalingen uit de AVG.